fix(history,loop,gateway): 上下文续接的最新性/一致性三条（裁决 13.4.5 的面内部分）

本组只落地「在允许文件面内、且能用 design/15 既有规格推出」的部分；13.4.5 的「真并行 + 动态旧上下文」
与 design/15 §2.1/§2.2 的既有串行续接规格存在读法冲突，按规程**停下上报**（未自创语义）。

- history.Recent（续接窗口）并列打破：created_at DESC, rowid DESC —— Windows time.Now() 步长 ~0.44ms，
  用户连发必然同毫秒并列；修复前并列时取**更早**的 ⇒ 丢掉刚发出的最新 n 条且同毫秒内反插入序
- 上行 chat 不再经**可丢弃**的 bus：直达会话编排器的非阻塞 Submit（design/15 §2.1「会话消息不能被 drop」
  + §4「不阻塞是硬约束」）；orchestrator 为 nil 时回退 bus，旧断言仍绿
- 被**取消**（中断）的回合把该会话 checkpoint 落定为不可恢复（用 context.WithoutCancel 写，快照保留可查询，
  仅在回合未落定时触发）⇒ 不再顶掉下一条消息的上下文
- 复核：build/vet 绿 + loop/gateway/history 三包测试与 -race 全绿；新增 5 条用例（含一条真 WS+真编排器+
  真 loop+真 persist 的集成用例）；**3 条变异反证**精确复现「新消息被丢弃只见旧窗口」「窗口取早不取新」
  「bus 饱和时会话消息静默消失」，均已还原
- 待裁决（已上报主人）：① 「同一会话多回合真并行」需改 checkpoint 键（sessionID:step 并发互相覆盖）、
  flow 图按轮键控、前端单槽 busy —— 均在本组文件面外；② 「动态吸收新到消息」在 design/15 **无规格**，
  属新语义，须先写设计；③ 非取消的错误退出同样留可恢复快照（同机制，未扩范围，因 resume_test 正钉住旧行为）

internal/runtime/loop/run.go

@@ -82,7 +82,21 @@ func (l *Loop) Run(ctx context.Context, sessionID string, messages []model.Messa
 // 已 settle 的 Result；step 或工具批次的错误以 %w 包装返回。
 func (l *Loop) driveTurn(ctx context.Context, sessionID string, msgs []model.Message, startStep int, res *Result) (*Result, error) {
 	toolState := &toolLoopState{prevFP: make(map[string]bool)}
-	for step := startStep; step <= l.maxRounds; step++ {
+	step := startStep
+	// 被用户中断（design/15 §3）的回合不留下「可恢复的在途态」：design/15
+	// 要求中断后**立即**按最新上下文处理下一条消息，而一个被放弃的回合若把
+	// 可恢复 checkpoint 留在该会话上，下一条消息会被它顶掉——继承旧窗口、
+	// 丢掉刚发出的那条，上下文既不最新也不完整（裁决 13.4.5）。因此取消后
+	// 把该会话的快照落定为不可恢复态（快照本身保留，仍可查询）。
+	//
+	// 只在回合**未落定**时标记（落定路径已写入终态快照，其 stop reason 本就
+	// 不可恢复），因此这里不会改写一个已交付答案的回合。
+	defer func() {
+		if ctx.Err() != nil && res.StopReason == "" {
+			l.abandonCanceledCheckpoint(ctx, sessionID, step, msgs)
+		}
+	}()
+	for ; step <= l.maxRounds; step++ {
 		if err := ctx.Err(); err != nil {
 			return nil, fmt.Errorf("loop: run: step %d: %w", step, err)
 		}
@@ -143,3 +157,22 @@ func (l *Loop) settleAndReturn(ctx context.Context, sessionID string, msgs []mod
 	l.settleTurn(ctx, sessionID, msgs, res)
 	return res, nil
 }
+
+// StopReasonCanceled 标记一个因用户中断（design/15 §3「停下/算了/换个话题」）
+// 而放弃的回合。它不是可恢复的在途态：design/15 要求中断后立即按**最新**
+// 上下文处理下一条消息，因此这种快照绝不能被下一条消息续接
+// （见 driveTurn 与 abandonCanceledCheckpoint）。
+const StopReasonCanceled = "canceled"
+
+// abandonCanceledCheckpoint 把一个被取消回合的 checkpoint 落定为不可恢复态
+// （stop reason = StopReasonCanceled），使该会话的下一条消息从它自己的最新
+// 上下文开始，而不是被放弃回合的旧窗口顶掉（裁决 13.4.5：上下文一致性 /
+// 完整性 / 最新性）。快照本身保留在 store 里，仍可查询。
+//
+// 写入必须脱离已取消的 ctx（否则 ExecContext 必然立即失败），因此这里用
+// WithoutCancel 派生背景上下文，保留原 ctx 的值而丢弃取消信号。失败只记日志，
+// 绝不让这个收尾动作把中断路径变成错误。
+func (l *Loop) abandonCanceledCheckpoint(ctx context.Context, sessionID string, step int, msgs []model.Message) {
+	l.log.Info("checkpoint abandoned", "session", sessionID, "step", step, "stop_reason", StopReasonCanceled)
+	l.saveCheckpoint(context.WithoutCancel(ctx), sessionID, step, msgs, StopReasonCanceled)
+}